Agentes de IA de Cathedral acceden a datos de Anthropic

Qué pasó: cómo los agentes de IA de Cathedral entraron a Anthropic

En menos de 12 horas, los agentes autónomos de Cathedral encontraron una ruta hacia sistemas internos de Anthropic, la empresa detrás de Claude. Lo reveló una investigación de The Washington Post y lo recogió Gizmodo.

El dato que debería hacer levantar la ceja a cualquier founder es otro: no rompieron el modelo. No vulneraron Claude, ni sus pesos, ni el código fuente. Entraron por la puerta de servicio, es decir, por herramientas administrativas de terceros que la compañía usa para gestionar ventas, empleados y operaciones internas.

Cathedral es una startup de ciberseguridad fundada en 2026 por exintegrantes del Departamento de Eficiencia Gubernamental de Estados Unidos (DOGE). Participaba del programa de investigación de vulnerabilidades de Anthropic cuando sus agentes de IA, capaces de ejecutar tareas de forma autónoma, hallaron fallos en programas empresariales externos.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Según el informe, llegaron a transcripciones de reuniones, detalles salariales, ofertas de trabajo y conversaciones de Slack sobre modelos avanzados de la compañía. Anthropic confirmó el acceso a un conjunto limitado de sistemas de ventas, recursos humanos e informática.

¿Por qué el modelo de IA no fue el problema?

Anthropic fue explícita en su respuesta: las conversaciones de los usuarios con Claude, las respuestas generadas, el código fuente y los pesos de sus modelos no fueron comprometidos. Tampoco hay evidencia de que terceros hayan explotado las mismas fallas.

La compañía desactivó las herramientas afectadas hasta que sus proveedores aplicaran las correcciones correspondientes. Y sostuvo que su sistema de monitoreo detectó parte de la actividad antes de recibir el reporte de los investigadores, y que cortó el acceso ese mismo día.

El episodio ilustra un patrón que el NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos) viene señalando: las vulnerabilidades en proveedores tecnológicos se convierten en riesgo propio para quien depende de sus servicios. La cadena de suministro de software es, en la práctica, parte de tu perímetro.

No es un caso aislado. En septiembre de 2026, el exchange Bitget perdió US$387,5 millones después de que atacantes explotaran un zero-day en dos productos de seguridad de terceros, según reportó BleepingComputer citando las investigaciones de Mandiant y SlowMist. Los atacantes usaron esos appliances comprometidos como trampolín hacia el servidor de wallets de producción. Mismo patrón: el proveedor era el eslabón débil.

¿Qué dice Anthropic y qué dice Cathedral?

Cathedral no es una desconocida. Según DiarioBitcoin, la compañía recaudó US$160 millones en una ronda liderada por Andreessen Horowitz y Sequoia Capital que la valoró en US$1.400 millones, y un funcionario de la administración Trump citado por The Washington Post afirmó que tres agencias federales ya la contrataron. Sus cuatro fundadores —Gavin Kliger, Luke Farritor, Marko Elez y Jack Stein— vienen de DOGE.

Anthropic, sin embargo, cuestiona el relato. Dice que los investigadores pasaron varios días intentando acceder directamente al software de la compañía sin éxito, que no divulgaron toda la actividad realizada y que exageraron las implicaciones para la seguridad nacional de sus hallazgos. También sostiene que no respetaron del todo las reglas del programa de recompensas por errores en el que participaban.

Del otro lado, un alto funcionario de la administración Trump advirtió que si una startup recién creada pudo encontrar esas vulnerabilidades, grupos de ciberespionaje extranjeros también podrían hacerlo.

Para el sector, la lectura más útil la dio Alex Stamos, director de seguridad de la información de Cognition y exdirector del Observatorio de Internet de Stanford: conectar aplicaciones de terceros a los sistemas corporativos ya es un «problema enorme para todos», según recogió Crónica Viva.

El riesgo de terceros: el punto ciego de las startups

Hay una asimetría incómoda en este caso. Anthropic invierte sumas enormes en seguridad de modelos, alineación y pruebas adversariales de su IA. Y aun así, el acceso llegó por una herramienta de recursos humanos o de ventas.

Ese es el error de asignación de recursos que comete la mayoría de las startups: se protege el producto, lo que el cliente ve, y se descuida el back office, lo que nadie mira. Pero el back office concentra exactamente lo que un atacante quiere: nóminas, contratos, transcripciones de reuniones y canales internos donde la gente habla con menos cuidado.

Hay un segundo factor que este caso pone sobre la mesa. Los agentes autónomos cambian la economía del ataque: lo que antes requería un equipo de especialistas durante semanas ahora puede ejecutarse en horas, en paralelo y sin descanso. La barrera de entrada para encontrar una ruta lateral bajó.

¿Qué significa esto para tu startup?

Tres movimientos concretos, en orden de impacto:

Inventaría tus integraciones y clasifícalas por sensibilidad. Haz una lista de cada SaaS conectado a tu operación —CRM, HRIS, Slack, facturación— y marca cuáles tienen acceso a datos personales, financieros o de propiedad intelectual. Si una herramienta de terceros puede leer tu nómina, es parte de tu superficie de ataque, no un proveedor externo.
Exige SSO y permisos mínimos en cada herramienta. Cada app con su propio usuario y contraseña es una puerta más. Centraliza la autenticación, activa MFA obligatorio y revoca accesos de exempleados el mismo día en que salen. La mayoría de las brechas reales no empiezan con un exploit sofisticado, sino con una credencial que nadie revocó.
Define un canal formal para reportes de seguridad. Anthropic tenía un programa de recompensas por errores y aun así el caso terminó en una disputa pública sobre las reglas. Si tu startup no tiene un canal claro para que un investigador reporte un hallazgo —con alcance definido y plazos de divulgación—, el primer reporte que recibas llegará por redes sociales.

Un cuarto punto, más de fondo: si tu equipo usa agentes de IA para tareas automatizadas, define qué pueden tocar y qué no. El mismo tipo de agente que Cathedral usó para encontrar rutas hacia datos internos puede, mal configurado, exponer tus propios sistemas.

La lección: proteger el modelo no es proteger la empresa

Anthropic tiene uno de los equipos de seguridad de IA más respetados del sector y el acceso llegó igual, por una herramienta administrativa que probablemente nadie consideraba crítica. La conclusión para un founder es incómoda pero accionable: la seguridad de tu startup no se mide por lo robusto que sea tu producto, sino por lo débil que sea tu proveedor menos revisado.

En un ecosistema donde cada vez más operaciones viven en plataformas de terceros, ese inventario conviene tenerlo actualizado antes de que alguien más lo haga por ti.